Im Jahr 2023 fiel mir auf, dass beim Laden des Microsoft Store unter Windows 10 Enterprise manchmal für kurze Zeit der Inhalt des Stores angezeigt wurde. An sich ist das nichts Schlimmes, jedoch ist der Zugriff auf den Microsoft Store bei secuvera durch die Windows-GPOs deaktiviert. Daher sollte ich als Benutzer eigentlich keinen Zugriff auf den Store haben. Dieses „komische“ Verhalten machte mich neugierig.
Zu Beginn versuchte ich, das Verhalten des Stores nachzustellen, um den Fehler analysieren zu können. Aber was war eigentlich dieser Fehler – und wie konnte ich ihn zuverlässig reproduzieren?
Den Fehler zu beschreiben, ist einfach: Man startet den Microsoft Store, und bis die Meldung „Microsoft Store ist blockiert.“ erscheint, vergehen ungefähr fünf bis zehn Sekunden, in denen man den Store nutzen kann.
Aber lässt sich dieses Verhalten beliebig oft nachstellen? Die verzögerte Meldung trat nicht regelmäßig auf, sondern ohne einen klar erkennbaren Grund. Sobald die Meldung erschien, ließ sich der Fehler durch ein erneutes Öffnen des Stores auch nicht reproduzieren. Sogar das An- und Abmelden des eigenen Nutzers oder ein kompletter Systemneustart führten zu keinem wiederholbaren Verhalten.
Eine Internetrecherche brachte mich ebenfalls nicht weiter und so vergingen die Wochen … bis ich auf „wsreset.exe“ stieß. Mit diesem Windows-Tool lässt sich der Cache des Microsoft Store löschen und der Store zurücksetzen. Nachdem ich wsreset ausgeführt hatte, startete sich der Store automatisch – und die Meldung, dass der Store blockiert sei, erschien auch wieder verzögert. Durch wsreset konnte ich das merkwürdige Verhalten also beliebig oft nachstellen und so das Verhalten des Stores analysieren.
Wie aber ging es dann weiter?
Um aus dem Verhalten ein echtes „Problem“ zu machen, musste etwas dadurch ausgelöst werden. Da der Store eigentlich nicht nutzbar sein sollte, lag die einfachste Lösung darin, zu versuchen, Apps über den Store zu installieren. Solange die Store-Sperrmeldung noch nicht angezeigt wurde, wollte ich Apps per Klick installieren. In den wenigen Sekunden, in denen der Store nutzbar war, war dies allerdings kaum möglich.
Mithilfe von Microsoft Store URIs klappte es dann aber doch. Durch die URIs konnte ich Apps im Store direkt aufrufen und anschließend über den Installations-Button installieren. Der Vorteil dabei: Eine gestartete Installation lief weiter, obwohl der Zugriff auf den Store gesperrt wurde. Sie wurde also im Hintergrund fortgesetzt und durch die blockierende Meldung auch nicht abgebrochen – gut für mich.
Dieses Verhalten beschrieb ich so in einer Schwachstellenmeldung, die ich im Mai 2023 beim Microsoft Security Response Center einreichte. Microsoft schaute sich die Schwachstellenmeldung längere Zeit an.
Im August 2023 erhielt ich schließlich die Rückmeldung, dass die Schwachstellenmeldung als nicht ausnutzbar bewertet wurde. In der Erklärung hieß es:
“The report submitted describes a way to bypass group policy, as it can be configured to prevent access to the windows store. The attack requires you to launch wsreset.exe which requires administrative permissions, at this point you can just remove the policy or download/install the package manually. Bypassing group policy with administrative privileges doesn’t meet the bar for servicing – marking as won’t fix.”
Zusätzlich wurde mir der Link zur Rechtekonfiguration des Microsoft Store empfohlen, den ich aber auch bereits als Beschreibung für die getestete Konfiguration in meiner Schwachstellenmeldung genannt hatte.
Der zuständige Microsoft-Mitarbeiter bewertete meine Schwachstellenmeldung als nicht ausnutzbar, da wsreset.exe angeblich nur mit administrativen Rechten ausführbar sei – und man mit diesen Rechten ohnehin die entsprechende Policy deaktivieren könne …
Eine weitere Internetrecherche zu Rechtebeschränkungen von wsreset.exe brachte diesbezüglich jedoch keine Ergebnisse – und auch eine passende Windows-Konfigurationseinstellung konnte ich nicht finden. In meinen Tests mit nicht administrativen Benutzern ließ sich wsreset.exe stets ausführen.
Ich antwortete daraufhin Microsoft, erhielt jedoch keine weitere Rückmeldung mehr. Meine Nachfragen blieben unbeantwortet, und meine Motivation, das erkannte Problem weiter zu verfolgen, verflog.
Warum schreibe ich dann genau jetzt diesen Blog-Beitrag?
Die Schwachstelle kam mir wieder in den Kopf, und ich wollte vor Ende des Support-Zeitraums von Windows 10 überprüfen, ob der Bypass noch möglich ist. Seit 2023 gab es eine Vielzahl von Änderungen in Windows dazu. Zum einen wurde die Online-Microsoft-Hilfeseite zum Sperren des Microsoft Store vereinfacht, zum anderen gab es Anpassungen direkt im Store.
Die vereinfachte Online-Beschreibung der Konfiguration ist zu begrüßen – Administratoren finden die Informationen nun schneller und verständlicher. Der Microsoft Store wurde außerdem dahingehend angepasst, dass die Installation einer App nicht mehr weiter durchgeführt wird, sobald der Store blockiert wird. Die Installation startet zwar, bricht aber mit einem Fehler ab.
Aufgrund der durchgeführten Anpassungen bin ich der Meinung, dass das von mir erkannte Verhalten mittlerweile keine direkte Schwachstelle mehr sein sollte. Oder vielleicht doch? Es ist nämlich weiterhin möglich, durch wsreset.exe die Blockade-Meldung zu verzögern und den Store kurz zu nutzen … Dadurch könnte es also eventuell doch ein weiteres Problem im Microsoft Store geben – oder etwa doch nicht?
Jetzt bist du als Leser gefragt:
Da der Store in Windows 10 vermutlich nicht mehr gepatcht wird und der Store in Windows 11 anders reagiert, ist die Spielwiese unter Windows 10 eröffnet: Fällt dir ein Szenario ein, in dem sich aus dem Verhalten des Windows 10 Stores ein (Sicherheits-)Problem ergeben könnte? Können vielleicht Informationen ausgelesen werden, auf die man eigentlich keinen Zugriff haben sollte?
Schnapp dir ein Testsystem und probiere es aus – vielleicht findest du ein neues Problem im Microsoft Store … und vielleicht ist es dann auch unter Windows 11 ausnutzbar.
Viel Spaß beim Ausprobieren! 🙂
Kai Dybionka